|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Alexandr Goncharov 2:5020/400 11 Apr 2002 05:10:42
To : Denis Smirnov
Subject : Re: virtual hosting -- security
--------------------------------------------------------------------------------
Denis Smirnov <mithraen@freesource.info> wrote:
DS> Alexandr Goncharov <agv@tomsknet.ru> wrote:
AG>> Можно сделать о разному.
AG>> Есть статья Алексея Закирова из Агавы на эту тему, урла на память не помню.
AG>> Hа работе в букмарке заложена. Можно попробовать поискать на google по
AG>> словам jail и shell.
DS> Если найдёшь -- кинь мне пожалуйста.
http://hellbell.h1.ru/jail/ - Использование jail(2) для предоставления
untrusted shell access
AG>> У нас сделано так:
AG>> апач запушен от www.www
AG>> юзер имеет uid.wwwusers
AG>> права на homedir - rwxr_x___, владеет ею uid.www
DS> Угу, у меня сейчас так же.
AG>> Тем самым апач может читать страницы, а другой юзер доступа в эту
AG>> директорию не имеет. внутри homedir находится каталог cgi-bin, описаный в
AG>> конфиге апача, как место, откуда можно исполнять скрипты. А дальше,
AG>> используя cgi-wrapper (в нашем случае), suexec или другой подобный механизм
AG>> - обеспечиваем, чтобы скрипты из homedir/cgi-bin вызывались на исполнение
AG>> апачем, но исполнялись от имени владельца (юзера).
DS> А можно подробнее, как это сделать? Причём так, чтобы не было способа
DS> пользователю это счастье обойти, в том числе модификацией .htaccess.
Hа память не раскажу, надо смотреть конфиги. Hо документация по suexec и
cgi-wrapper существует. Что конкретно использовать - от задачи и симпатий
зависит, наверное.
враппер сидит в конфиге апача и пользователь не имеет возможности его
править.
Вот как-то так (это одна из строк конфига, в одиночку может и не работать) -
RewriteRule ^/cgi-bin/?(.*)
/usr/local/apache/cgi-bin//cgiwrapv/${host-to-user:%{HTTP_HOST}}/$1
.htaccess в корне homedir не принадлежит юзеру, а принадлежит руту. И
защишен от удаления установкой флага sunlink.
Все остальные .htaccess, в поддиректориях - доступны юзеру для изменений.
DS> --
DS> С уважением, Denis
DS> http://freesource.info
--
Alexandr V. Goncharov, | Digital Networks, Tomsktelecom
AGV-RIPE, | agv@tomsknet.ru
AGV3-RIPN | phonе: +7(382-2)662510
--- ifmail v.2.15dev5
* Origin: Tomsktelecom - Digital Networks (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
